Sysmon (System Monitor) est un outil gratuit développé par Microsoft Sysinternals. Il permet d’améliorer la visibilité et la traçabilité des activités sur un système Windows. Grâce à l’enregistrement détaillé des événements liés aux processus, aux connexions réseau ou encore à l’accès aux fichiers, Sysmon est devenu un outil incontournable pour les administrateurs système et les équipes de sécurité. Dans cet article, nous allons découvrir ce qu’est Sysmon, comment l’installer et l’utiliser, ainsi que quelques bonnes pratiques pour l’exploiter efficacement.
1. Qu’est-ce que Sysmon ?
Sysmon est un service et un pilote système qui, une fois installés sur une machine Windows, capturent et enregistrent divers événements dans le journal des événements Windows. À la différence du suivi des événements par défaut de Windows, Sysmon fournit des informations beaucoup plus riches et granulaires sur :
- Les processus créés (process creation)
- Les connexions réseau entrantes et sortantes
- Les modifications de fichiers
- Les chargements de bibliothèques (DLL)
- Les accès au registre (selon configuration)
- Les hachages de fichiers exécutables (MD5, SHA1, SHA256…)
En analysant ces données, il devient plus simple de détecter des comportements anormaux ou malveillants, de remonter la chaîne d’actions d’un éventuel attaquant, ou encore d’anticiper certaines attaques en surveillant des indicateurs de compromission (IoC).
2. Installation et configuration
a) Téléchargement
Sysmon fait partie de la suite Microsoft Sysinternals. Il est disponible au téléchargement sur le site officiel :
Sysmon – Sysinternals | Microsoft Docs
b) Installation
- Extraire l’archive : après avoir téléchargé l’archive, extrayez-la dans le dossier de votre choix.
- Installer Sysmon : ouvrez une invite de commandes (cmd) ou un terminal PowerShell avec les privilèges administrateur, puis exécutez la commande suivante :
sysmon64.exe -i- Cette commande installe et lance Sysmon avec une configuration par défaut. Si vous souhaitez installer la version 32 bits, utilisez plutôt
sysmon.exe -i.
c) Configuration avancée
Pour tirer pleinement profit de Sysmon, il est recommandé de personnaliser sa configuration à l’aide d’un fichier XML. Microsoft et la communauté de la cybersécurité proposent de nombreux fichiers de configuration prêts à l’emploi, comme ceux du projet SwiftOnSecurity sur GitHub.
Pour appliquer une configuration personnalisée, utilisez la commande :
sysmon64.exe -i monfichierconfig.xmlSi Sysmon est déjà installé, utilisez plutôt :
sysmon64.exe -c monfichierconfig.xmlCette commande mettra à jour la configuration de Sysmon sans réinstaller le service.
3. Fonctionnement et collecte des événements
Une fois Sysmon installé et configuré, il commence immédiatement à enregistrer des événements dans le Journal des événements Windows (Event Viewer). Les journaux sont accessibles via :
Observateur d’événements (Event Viewer) > Journaux d’applications et de services > Microsoft > Windows > Sysmon/OperationalVous pourrez y trouver des événements tels que :
- Event ID 1 – Process Creation : indique la création d’un nouveau processus, son chemin, le compte utilisateur, etc.
- Event ID 3 – Network Connection : capture les connexions TCP/UDP, incluant l’IP source et destination, le port, et le processus associé.
- Event ID 7 – Image Loaded : renseigne sur le chargement de bibliothèques (DLL), utile pour détecter des DLL malveillantes.
- Et bien d’autres (9, 10, 11, 13, 15, etc.) selon la configuration XML utilisée.
L’analyse régulière de ces journaux peut se faire localement ou via un outil central de corrélation de logs (SIEM) où vous pouvez agréger et surveiller tous vos événements.
4. Utilisations courantes
a) Détection de logiciels malveillants
L’un des usages principaux de Sysmon est la détection de malwares. En effet, en observant la création de processus inhabituels, l’exécution de scripts dans des répertoires suspects ou la connexion à des domaines malveillants, on peut rapidement identifier une activité anormale sur le système.
b) Investigation post-incident
Lorsqu’une machine est compromise, Sysmon permet de retracer précisément l’enchaînement des actions malveillantes. Les journaux conservent des informations comme les comptes utilisés, les processus enfants/parents, les hachages de fichiers exécutés, etc. Cela facilite grandement la compréhension de la chronologie d’une attaque et l’identification des failles exploitées.
c) Respect de la conformité et audit
Pour des raisons de conformité (ISO 27001, RGPD, PCI-DSS, etc.), il peut être nécessaire d’assurer une traçabilité précise de certaines opérations sur les systèmes. Sysmon fournit alors un journal détaillé qui simplifie la mise en conformité lors de contrôles ou d’audits.
5. Bonnes pratiques
- Mettre à jour régulièrement : Microsoft améliore Sysmon et corrige d’éventuelles vulnérabilités. Veillez à utiliser la version la plus récente pour bénéficier des dernières fonctionnalités.
- Personnaliser la configuration : un fichier XML bien conçu vous évitera une surcharge de journaux. Filtrez ce qui est pertinent pour votre environnement (dossiers critiques, applications sensibles, etc.).
- Centraliser la collecte : pour plusieurs machines, utilisez un SIEM ou un outil d’agrégation de logs (par exemple, Splunk, ELK, Wazuh) afin de corréler les événements et détecter rapidement les menaces à l’échelle de votre parc informatique.
- Analyser régulièrement : Sysmon n’est utile que si vous exploitez ses données. Mettez en place des tableaux de bord, des alertes et des rapports pour surveiller les éventuels signaux d’alerte.
- Former les équipes : Sysmon offre une richesse d’informations, mais requiert une bonne compréhension des mécanismes Windows et des schémas d’attaque pour interpréter correctement les journaux.
Conclusion
Sysmon est un outil puissant et gratuit qui apporte une visibilité fine sur l’activité des systèmes Windows. Grâce à son niveau de détail et sa flexibilité de configuration, il constitue un atout majeur pour la sécurité, la détection des menaces et l’investigation post-incident. Son implémentation nécessite cependant une bonne planification et une maintenance régulière pour éviter la saturation des journaux et optimiser le coût d’exploitation. En s’intégrant parfaitement avec les solutions d’analyse et de corrélation de logs, Sysmon renforce la posture de sécurité globale de l’organisation et s’avère un allié de choix pour tout administrateur ou analyste en cybersécurité.
